热点事件持续更新
GitHub收紧npm可信发布配置
1 篇报道1 个报道来源3 小时前更新
先了解这件事
AI 综述
2026年10月14日，The Hacker News报道称，GitHub将收紧npm发布机制，以应对仓库标识被劫持的风险。平台创建但尚未验证的npm可信发布配置将在48小时后自动过期，只有首次成功发布并完成验证后，才会绑定仓库的永久身份。与此同时，GitHub将拒绝由GitHub Actions的issue_comment事件触发的可信发布令牌，并继续保留pull_request_target限制，防止仓库改名或转移后原有信任被不当继承。
AI 根据报道生成 · 2 小时前更新
最新进展10月14日 00:18
GitHub为未验证配置设置48小时有效期，并收紧令牌触发限制。报道时间线
沿着报道，了解事件的不同侧面。
10月14日
- The Hacker NewsGitHub收紧npm发布机制以应对仓库标识劫持漏洞
GitHub将把未验证的npm trusted publishing配置在创建48小时后自动过期，首次成功发布后才会完成验证并绑定仓库的永久身份。GitHub还将拒绝来自GitHub Actions issue_comment事件的trusted publishing tokens，并保留pull_request_target限制，以降低仓库改名或转移后信任被继承的风险。
本事件热度走势
还没有足够的连续观测数据，暂不绘制趋势。